En bref
- L'OCC a publié son premier cadre destiné aux examinateurs chargés d'évaluer l'utilisation de l'IA par les banques, en mettant l'accent sur les conséquences et l'autonomie plutôt que sur la sophistication des modèles.
- Les lignes directrices abordent explicitement les agents d'IA externes, en écho aux préoccupations exprimées par de grandes banques.
- Le cadre n'est pas contraignant, mais il donne des exemples de garde-fous pour les paiements autonomes, l'accès par des tiers et la supervision humaine.
L'Office of the Comptroller of the Currency des États-Unis a publié aujourd'hui son premier cadre de supervision de l'intelligence artificielle dans le secteur bancaire, demandant aux examinateurs de se concentrer moins sur la puissance d'un système d'IA que sur ce qui se produit lorsqu'il commet une erreur.
Le cadre de l'OCC répond précisément à cette préoccupation, même si le régulateur n'a pas lié sa publication à ces incidents particuliers.
Dans une section consacrée à la résilience opérationnelle, l'agence met en garde contre le fait que des agents externes exploités par des clients, des fintechs ou d'autres entreprises pourraient générer des risques pour les banques, même lorsque celles-ci ne contrôlent pas ces systèmes.
Elle suggère que les examinateurs envisagent des mesures telles que la vérification d'identité, la délégation de permissions, les plafonds de transactions, la surveillance et la capacité à suspendre ou révoquer un accès.
Les lignes directrices visent à résoudre le dilemme auquel les banques sont déjà confrontées : comment permettre aux clients d'utiliser des assistants IA pour gérer leurs finances sans accorder à des logiciels autonomes un accès sans restriction aux comptes.
La nouvelle directive de l'OCC intervient moins de deux semaines après des informations selon lesquelles de grandes banques découvraient des agents d'IA tiers non autorisés opérant dans les comptes de clients, prenant parfois des mesures qui semblaient dépasser les instructions des utilisateurs.
Morgan Stanley bloquait les agents externes, tandis que JPMorgan, Bank of America et Citi restreignaient l'accès, selon un rapport d'Axios publié le 22 octobre. Des dirigeants bancaires ont qualifié la situation d'« horrifiante », soulevant la question de savoir qui contrôle un agent autonome une fois qu'il a accès à l'argent de quelqu'un.
Une IA qui déplace de l'argent est plus risquée qu'une IA qui rédige des e-mails
Le cadre de l'OCC établit une distinction entre la sophistication technique d'un système d'IA et les dommages qu'il pourrait causer.
Un agent simple autorisé à initier des transactions financières peut présenter un risque plus élevé qu'un modèle plus avancé limité à la rédaction de documents internes, a indiqué le régulateur.
Dans le cadre de 22 pages, les examinateurs peuvent prendre en compte les conséquences d'une défaillance, la réversibilité d'une action et le niveau de contrôle que les humains conservent sur le système.
L'agence présente quatre niveaux de risque à titre illustratif. Les agents de paiement entièrement autonomes et les systèmes de décision de crédit en temps réel relèvent de la catégorie la plus élevée, tandis que les outils internes de productivité de base occupent la plus basse.
Les systèmes à risque plus élevé pourraient justifier des restrictions plus strictes sur l'autonomie, des tests indépendants et une approbation humaine avant que des actions aux conséquences importantes ne puissent être menées.
Le cadre traite également des systèmes d'IA qui continuent de fonctionner tout en prenant des décisions préjudiciables. Les garde-fous suggérés comprennent des coupe-circuits, des limites de débit, des permissions restreintes et des commandes d'arrêt d'urgence.
Ces considérations sont particulièrement pertinentes pour les agents externes décrits dans les précédents reportages d'Axios, où les banques peinaient à distinguer les logiciels légitimes autorisés par les clients des systèmes fonctionnant au-delà de leurs autorisations prévues.
Des orientations, pas de nouvelles règles bancaires
L'OCC a insisté sur le fait que ce document ne crée pas de nouvelles exigences réglementaires ni de normes opposables aux banques.
Il offre plutôt aux examinateurs un moyen d'évaluer l'IA au sein des catégories de risques opérationnels, de conformité et de cybersécurité existantes. Les banques ne sont pas tenues de créer une catégorie de risque distincte pour l'IA.
Le document utilise le terme obligatoire « Super Intelligence », que l'administration de Donald Trump insiste à employer à la place d'« intelligence artificielle », mais son champ d'application couvre l'IA conventionnelle et les « agents autonomes », et non seulement des systèmes hypothétiques dotés d'une intelligence dépassant les capacités humaines.
Le cadre couvre l'IA utilisée dans les paiements, la détection de fraude, le service client et d'autres opérations bancaires. Il étend également ses considérations de risque aux agents d'IA externes qui se connectent via les canaux bancaires.
L'OCC a indiqué qu'il entend mettre à jour ces lignes directrices à mesure que la technologie évolue. Pour l'instant, son échelle de risque illustrative place les agents de paiement autonomes dans la catégorie de risque la plus élevée, quelle que soit leur performance lors des tests.